Kubernetes C#クライアントに証明書検証不備の脆弱性(CVE-2025-9708)

セキュリティニュース

投稿日時: 更新日時:

Kubernetes C#クライアントに証明書検証不備の脆弱性(CVE-2025-9708)

KubernetesのC#クライアントに、カスタムCA（証明書）を使う接続時の証明書検証処理の脆弱性が見つかりました。脆弱性識別子は CVE-2025-9708、CVSS 3.1は 6.8（Medium） です。証明書の信頼連鎖を正しく突き合わせずに受け入れてしまうため、攻撃者が偽造証明書を提示すると、Kubernetes APIサーバーとの通信が盗聴・改ざん（MITM）される、あるいはAPIサーバーのなりすましを許してしまう可能性があります。

脆弱性の対象バージョン

v17.0.13以前のすべてです

修正バージョン

v17.0.14 で提供されています。

何が起き得るのか

証明書の検証が甘い状態では、以下の事態が起き得ます。

  • 中間者攻撃（MITM）：APIトークンや機微なリソース一覧・マニフェストが盗聴・改ざんされます。

  • APIサーバーの偽装：攻撃者が用意したサーバーに接続させ、不正なレスポンスを返したり、権限昇格や不正操作の足掛かりにされたりする恐れがあります。

クラウド上の共有ネットワーク、プロキシ越え、ローカルからVPNでクラスタに入る運用など、経路の完全性が保証されない構成ほど影響が顕著になります。

関連記事

複数の自治体や空港へシステム障害が発生 一部はロシア系のサイバー攻撃グループによるDDoS攻撃山梨県や自民党、空港でシステム障害 一部はロシア系集団によるDDoSなどのサイバー攻撃 Apple、Siriがユーザーの許可なく会話を記録・保存したとする訴訟で和解Apple、Siriがユーザーの許可なく会話を記録・保存したとする訴訟で和解 FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471) イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表 SonicWall「SMA1000」シリーズに深刻なSSRF 脆弱性(CVE-2025-40595)SonicWall「SMA1000」シリーズに深刻なSSRF 脆弱性(CVE-2025-40595) Microsoft Edgeに深刻な脆弱性2件(CVE-2025-6554,CVE-2025-49713)Microsoft Edgeに深刻な2件の脆弱性(CVE-2025-6554,CVE-2025-49713) Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343）Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343） Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031) 中小企業のセキュリティ対策、7割が基本実施も課題残る-IPA調査中小企業のセキュリティ対策、7割が基本的な対策を実施も課題残る-IPA調査